AI Act et article 4 : l'obligation de « maîtrise de l'IA » expliquée aux PME

Le règlement européen sur l’intelligence artificielle (règlement (UE) 2024/1689, dit « AI Act ») s’applique par étapes depuis 2025. Pour la plupart des TPE et PME, qui n’écrivent pas de systèmes d’IA mais en utilisent (ChatGPT, Copilot, Claude, Gemini, outils métier), la disposition la plus concrète est l’article 4, consacré à la « maîtrise de l’IA ». Voici ce qu’il impose, ce qu’il n’impose pas, et comment s’y conformer sans se noyer.

Ce que dit l'article 4

L’article 4 demande aux fournisseurs et aux « déployeurs » (les entreprises utilisatrices) de prendre des mesures pour garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l’IA de leur personnel et des autres personnes qui utilisent les systèmes d’IA pour leur compte, en tenant compte de leurs connaissances, de leur expérience, du contexte d’utilisation et des personnes concernées. Il est applicable depuis le 2 février 2025.

Le calendrier, après le report de 2026

Le calendrier initial prévoyait l’essentiel des obligations au 2 août 2026. Un règlement modificatif (règlement (UE) 2026/1744, publié au Journal officiel de l’Union européenne le 24 juillet 2026) a reporté les obligations des systèmes à haut risque. Le texte consolidé est accessible sur le service d’assistance officiel de la Commission.

Ce que cela change pour une PME qui utilise ChatGPT ou Copilot

• Sensibiliser chaque personne qui utilise un outil d’IA à ce qu’il sait faire, à ses erreurs typiques et aux données qu’on ne doit pas y saisir. Le niveau attendu dépend du poste : un commercial qui rédige des e-mails n’a pas les mêmes besoins qu’un RH qui trie des candidatures.
• Garder une trace : liste des outils utilisés, personnes formées, dates, contenus abordés. Une attestation de formation et une feuille d’émargement suffisent comme preuve.
• Informer clients et interlocuteurs quand ils échangent avec une IA (chatbot) et marquer les contenus générés lorsque l’article 50 l’exige, depuis le 2 août 2026.
• Repérer les usages sensibles : recrutement, évaluation, décisions sur les salariés ou les clients. Ils relèvent du haut risque (annexe III) à partir du 2 décembre 2027, avec des obligations renforcées pour les fournisseurs et les déployeurs.
• Adopter une charte d’usage qui fixe les outils autorisés, les données interdites et les règles de vérification.

Et les sanctions ?

L’article 4 ne prévoit pas d’amende dédiée. Les autorités nationales de surveillance, compétentes depuis le 2 août 2026, peuvent prendre des mesures proportionnées en cas de manquement. Pour les PME, le règlement plafonne les amendes au montant le plus bas entre le pourcentage du chiffre d’affaires et la somme fixe prévue. En pratique, le vrai risque d’une entreprise non préparée est ailleurs : fuite de données, erreur non vérifiée envoyée à un client, usage discriminatoire en recrutement.